- Aktif istismar
- CWE-89
CVE-2016-2386
SAP NetWeaver J2EE Engine UDDI sunucusunda SQL enjeksiyonu açığı
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 3907 gün
- Kaydı açan
- mitre
Yönetici özeti
Kurumsal SAP sistemlerinde kimlik doğrulaması olmadan istismar edilebilen kritik bir açık var ve gerçek saldırılarda kullanıldığı bilinmektedir. İstismar edilirse iş verilerinin çalınması, değiştirilmesi veya sistemin durması söz konusu olabilir. Yamanın gecikmeden uygulanması gerekir.
ÖzetTürkçe
SAP NetWeaver J2EE Engine 7.40 içindeki UDDI sunucusunda bir SQL enjeksiyonu açığı bulunmaktadır. Kimlik doğrulaması gerektirmeden ağ üzerinden istismar edilebilir ve saldırgan belirtilmemiş vektörlerle rastgele SQL komutları çalıştırabilir. Açık, SAP Security Note 2101079 ile takip edilmektedir ve CISA tarafından aktif olarak istismar edilen açıklar (KEV) listesine eklenmiştir.
Saldırgan ne yapabilir?
Uzaktan, kimlik doğrulaması olmadan saldırgan veritabanındaki verileri okuyabilir, değiştirebilir veya silebilir ve sistemin kullanılabilirliğini bozabilir. CVSS puanı 9.8 ile kritik seviyededir.
Kaynaktaki açıklama (İngilizce)
SQL injection vulnerability in the UDDI server in SAP NetWeaver J2EE Engine 7.40 allows remote attackers to execute arbitrary SQL commands via unspecified vectors, aka SAP Security Note 2101079.
CISA'nın önerdiği eylem (İngilizce)
Apply updates per vendor instructions.
Ne yapmalı?
- SAP Security Note 2101079 kapsamında yayımlanan güncellemeyi, satıcının talimatlarına uygun şekilde SAP NetWeaver J2EE Engine 7.40 sistemlerinize uygulayın. Genel öneri
- CISA'nın gerekli eylemi doğrultusunda güncellemeleri satıcı talimatlarına göre uygulayın. CISA
- Yama uygulanana kadar UDDI hizmetine erişimi kullanılmıyorsa devre dışı bırakın veya güvenlik duvarıyla yalnızca güvenilir ağlara sınırlayın. Genel öneri
Ek önlemler
- SAP NetWeaver sistemlerini doğrudan internete açmayın; erişimi VPN veya ters vekil sunucu arkasında tutun. Genel öneri
- UDDI sunucusuna gelen isteklerde olağandışı SQL ifadeleri ve hata kayıtları için günlükleri izleyin. Genel öneri
- Veritabanı hesabının yetkilerini en aza indirerek olası bir istismarın etkisini sınırlayın. Genel öneri
- Sistemlerde istismar belirtisi olup olmadığını inceleyin, şüphe varsa olay müdahale sürecini başlatın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| SAP NetWeaver | Sürüm belirtilmemiş | – |
Kaynaklar9 kaynak
- CVE.org kaydı
- NVD kaydı
- exploit-db.com/exploits/39840 İstismar kodu ya da analiz
- exploit-db.com/exploits/43495 İstismar kodu ya da analiz
- erpscan.io/…-sap-netweaver-7-4-sql-injection-vulnerability Diğer
- packetstormsecurity.com/…9/SAP-NetWeaver-AS-JAVA-7.5-SQL-Injection.html Diğer
- github.com/vah13/SAP_exploit Diğer
- erpscan.io/…r/blog/sap-security-notes-february-2016-review Diğer
- seclists.org/fulldisclosure/2016/May/56 Diğer
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.